Chainalysis รายงาน $2B หายไปใน cross-chain bridge hacks

การวิจัยดำเนินการโดยแพลตฟอร์มข้อมูลบล็อคเชน Chainalysis ประมาณการว่าเงิน 2 พันล้านดอลลาร์หายไปจากการแฮ็กสะพานข้ามสายโซ่จนถึงปี 2022

Chainalysis ระบุในรายงานว่าปัญหาในตอนนี้ “แสดงถึงภัยคุกคามที่สำคัญต่อการสร้างความไว้วางใจในเทคโนโลยีบล็อคเชน”

นอกจากนี้ นักวิจัยยังกล่าวว่าแฮ็กเกอร์ชาวเกาหลีเหนือชื่นชอบการแฮ็กสะพาน ซึ่งคาดว่าคิดเป็นครึ่งหนึ่งของเงิน 2 พันล้านดอลลาร์ที่ถูกขโมยไปจนถึงปัจจุบัน

รายงานมาร้อนแรงบนส้นเท้าของ แฮ็กสะพาน Nomadซึ่งถูกขโมยไป 191 ล้านดอลลาร์ Nomad เชื่อมโยง Ethereum, Avalanche, Evmos, Moonbeam และ Milkomeda blockchains

สะพานข้ามโซ่มีจุดอ่อนหลายจุด

สะพานข้ามสายโซ่เชื่อมต่อบล็อกเชนที่แตกต่างกัน ทำให้สามารถถ่ายโอนข้อมูลหรือโทเค็นระหว่างห่วงโซ่ที่เข้ากันไม่ได้ เทคโนโลยีนี้เป็นส่วนหนึ่งของแรงผลักดันที่จะทำให้ระบบนิเวศของ crypto ทั้งหมดสามารถทำงานร่วมกันได้

สะพานทำให้สามารถใช้สินทรัพย์บนบล็อกเชนอื่นได้โดยไม่ต้องออกจากเครือข่ายเพื่อแลกเปลี่ยนโทเค็นที่จำเป็นในการแลกเปลี่ยน โดยทั่วไปแล้ว พวกเขาจะดำเนินการโดยกระบวนการแปลงสินทรัพย์โดยใช้กลไกการล็อก-มินต์-เบิร์น

อย่างไรก็ตาม สะพานมีความอ่อนไหวต่อหลาย ๆ ตัว ช่องโหว่ซึ่งรวมถึงจุดล้มเหลว/การรวมศูนย์เพียงจุดเดียว สภาพคล่องต่ำเนื่องจากเอนทิตีแบบรวมศูนย์ต้องรักษาแหล่งรวมของสินทรัพย์ ช่องโหว่ทางเทคนิค เนื่องจากกลไกการล็อก-มินต์-เบิร์นถูกควบคุมโดยสัญญาอัจฉริยะ และการเซ็นเซอร์

คำแนะนำในการวิเคราะห์ลูกโซ่

รายงานของ Chainalysis ระบุว่ามีการแฮ็กสะพานแยก 13 ครั้งในปีนี้ คิดเป็น 69% ของเงินที่ถูกขโมยทั้งหมด

นักวิจัยระบุรายละเอียดของการแฮ็กอื่นๆ กับการแฮ็กแบบบริดจ์ซึ่งไม่มีรูปแบบที่มองเห็นได้ ก่อนไตรมาสที่ 3 ปี 2021 การแฮ็กบริดจ์นั้นไม่มีอยู่จริง แต่ไตรมาส 1 ปี 2022 มีการขโมยเงินจากสะพานสูงที่สุด ใกล้เคียงกับจุดสูงสุดของเงินที่ถูกขโมยไปทั้งหมด

Chainalysis กล่าวในรายงานว่า ก่อนหน้านี้ การแลกเปลี่ยนเป็นเป้าหมายหลักสำหรับแฮกเกอร์ แต่การรักษาความปลอดภัยที่เพิ่มขึ้นในการแลกเปลี่ยนทำให้แฮ็กเกอร์ต้องค้นหาเป้าหมายใหม่ที่อ่อนแอกว่าในการโจมตี

เพื่อแก้ปัญหานี้ นักวิจัยเรียกร้องให้มีการตรวจสอบรหัสสัญญาอัจฉริยะที่เข้มงวด และสัญญาที่ได้รับการพิสูจน์แล้วเพื่อใช้เป็นเทมเพลตสำหรับนักพัฒนาที่จะต่อยอด Chainalysis ยังให้คำแนะนำในรายงานเรื่อง "ความประมาทในธรรมชาติของมนุษย์" โดยกล่าวว่าทีมต่างๆ จำเป็นต้องมีการฝึกอบรมเพื่อระบุ "กลยุทธ์วิศวกรรมทางสังคมที่ซับซ้อน"

แม้ว่าจะไม่ได้ระบุชื่อในรายงาน แต่ความคิดเห็นข้างต้นเป็นการอ้างถึงการแฮ็กของ Ronin ซึ่งผู้ใช้ Axie Infinity เสียเงินไป 615 ล้านดอลลาร์ – แพลตฟอร์มในภายหลัง คืนเงิน นี้.

มันเพิ่งปรากฏว่า แฮ็คสะพานโรนิน ถูกควบคุมโดยแฮ็กเกอร์ชาวเกาหลีเหนือที่กำหนดเป้าหมายวิศวกรอาวุโสด้วยงานปลอม กระบวนการนี้เกี่ยวข้องกับการสัมภาษณ์ปลอมที่มีข้อเสนองานที่ส่งผ่านไฟล์ที่ติดไวรัส การเปิดไฟล์ทำให้แฮกเกอร์สามารถเข้าควบคุมโหนดเครือข่ายได้หลายโหนด